Konfiguracja integracji z Google Workspace

Co wnosi ta integracja

Google Workspace może dostarczać znormalizowane dane o aktywności dotyczącej cyklu życia użytkowników, logowania, MFA, działań administracyjnych i ochrony danych. Przykłady, które zostały zweryfikowane:

account.compromised — konto oznaczone jako przejęte

data.sensitive.downloaded — pobiera dane wrażliwe

auth.login.unusual — loguje się w nietypowych kontekstach

Czego wymaga Living Security

Poświadczenie	Opis
Klucz konta usługi	Klucz JSON dedykowanego konta usługi Google Cloud.
Administrator delegowany	Adres e-mail administratora Google Workspace, którego tożsamość może przyjmować konto usługi.

Włącz interfejsy API Admin SDK i autoryzuj wyłącznie te zakresy, które są odczytywane przez połączenie:

https://www.googleapis.com/auth/admin.reports.audit.readonly

https://www.googleapis.com/auth/admin.directory.user.readonly

https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly

Konfiguracja

Utwórz konto usługi Google Cloud

Utwórz dedykowane konto usługi, włącz delegowanie uprawnień w całej domenie i pobierz jego klucz JSON. Przechowuj klucz w bezpiecznym miejscu.

Autoryzuj delegowanie uprawnień w całej domenie

W konsoli administracyjnej Google otwórz Security → Access and data control → API controls → Manage Domain Wide Delegation. Dodaj numeryczny identyfikator klienta konta usługi oraz trzy powyższe zakresy tylko do odczytu.

Wybierz administratora delegowanego

Wybierz aktywnego administratora Workspace, który może odczytywać katalog, przypisania ról i raporty z audytu. Living Security używa tej tożsamości wyłącznie do delegowanych odczytów API.

Weryfikacja i rozwiązywanie problemów

Sprawdź, czy połączenie może odczytać jednego użytkownika katalogu oraz ostatnią aktywność logowania. Google informuje, że propagacja nowych uprawnień delegowania w całej domenie może zająć trochę czasu.

unauthorized_client

Upewnij się, że delegowanie uprawnień w całej domenie korzysta z numerycznego identyfikatora klienta konta usługi, a nie z jego adresu e-mail, oraz że wszystkie trzy zakresy są dokładnie zgodne.

Katalog działa, ale brakuje przypisań ról

Dodaj admin.directory.rolemanagement.readonly do wpisu delegowania i upewnij się, że administrator delegowany może wyświetlać przypisania ról.

Raporty są puste

Upewnij się, że interfejs Admin Reports API jest włączony oraz że administrator delegowany ma dostęp do raportów z audytu dla dzierżawy Workspace.

Integracje